Una cloud privata virtuale globale per applicazioni sicure e cloud-neutrali su Cloudflare Workers

Oggi diamo un'anticipazione di una nuova funzionalità progettata per semplificare lo sviluppo di applicazioni cloud-neutrali: Workers VPC. Questa innovazione rappresenta la nostra versione della tradizionale Virtual Private Cloud (VPC), modernizzata per sfruttare risorse di rete e computazionali che non sono vincolate a una specifica regione cloud. Per facilitare ulteriormente la transizione tra diversi ambienti cloud durante lo sviluppo, questa offerta sarà completata dai Workers VPC Private Links. Queste due nuove opzioni estendono le capacità di Workers in due modi fondamentali:

• Il raggruppamento delle risorse delle applicazioni su Cloudflare in ambienti isolati, garantendo che solo le risorse all'interno della stessa Workers VPC possano accedervi reciprocamente. Questo approccio permette di proteggere e segmentare il traffico tra le applicazioni all'interno di una "Workers VPC".
• La connessione di una Workers VPC a una VPC esistente in una public cloud o private cloud (tramite il "Workers VPC Private Link"), consentendo alle risorse residenti su Cloudflare e nelle vostre reti private di accedervi come se fossero tutte situate in un'unica VPC coesa.

Le connessioni reciproche tra Cloudflare e le cloud esterne, rese possibili da Workers VPC e Workers VPC Private Link, rappresentano un passo significativo verso un'architettura più fluida e integrata. Quando collegata a una VPC esterna, Workers VPC garantisce che le risorse sottostanti siano direttamente indirizzabili. Ciò consente agli sviluppatori di applicazioni di operare a livello di applicazione, senza doversi preoccupare dello strato di rete sottostante. Potete immaginarla come un'unica VPC estesa a tutte le vostre cloud, con una funzione integrata per il rilevamento di tutti i servizi.

Stiamo sviluppando Workers VPC basandoci sui nostri prodotti esistenti per reti private e prevediamo di lanciare la soluzione nel corso dell'anno. Tuttavia, per raccogliere feedback precoci e comprendere meglio le esigenze dei nostri clienti, desideriamo offrire in questa fase un'anticipazione del prodotto. Il vostro contributo è fondamentale per affinare questa offerta e garantirne la massima utilità per gli sviluppatori di tutto il mondo.

Sfide nello sviluppo di applicazioni private e cloud-neutrali

Quando si tratta di creare applicazioni versatili e con stato, gli sviluppatori scelgono sempre più spesso Workers come piattaforma preferita. Abbiamo da tempo superato i casi d'uso originali delle applicazioni edge di Workers: ora si stanno modernizzando ulteriori componenti dello stack e si sta spostando una maggiore logica di business su Workers. Ad esempio, Workers viene utilizzato per creare applicazioni per la collaborazione in tempo reale che accedono a database esterni, nonché applicazioni che utilizzano API protette su larga scala, e server Model Context Protocol (MCP) che espongono la logica di business per gli agenti situati il più vicino possibile agli utenti finali.

L'ultimo ostacolo che persiste nell'utilizzo di cloud esterne è la VPC. Sebbene le Virtual Private Clouds offrano sicurezza, sono intenzionalmente progettate per creare enormi barriere nello sviluppo di applicazioni su Workers. Questo mira implicitamente a incoraggiare i clienti a utilizzare più VPC tradizionali: è un'altra tattica che alcuni fornitori di cloud utilizzano per tenere in ostaggio i dati e le applicazioni dei loro clienti, legandoli a sé.

In molte conversazioni con i clienti, ci è stato detto che le VPC rappresentano un freno. È chiaro il motivo: l'uso delle VPC è obbligatorio per le aziende, e per una buona ragione. Per accedere a risorse non pubbliche da Workers, è necessario 1) creare nuove API pubbliche che eseguano l'autenticazione per garantire un accesso sicuro, oppure 2) configurare e scalare Cloudflare Tunnel e Zero Trust per ogni risorsa a cui si desidera accedere. Queste condizioni devono essere soddisfatte prima ancora di poter iniziare il lavoro di sviluppo, aggiungendo uno strato significativo di complessità e ritardo.

Disponiamo delle opzioni di archiviazione e computazione necessarie per creare un prodotto interamente su Workers. Ma comprendiamo anche che non sposterete le vostre applicazioni o i vostri dati da un giorno all'altro. Tuttavia, a nostro avviso, dovreste avere la possibilità, se lo desiderate, di scegliere Workers per costruire applicazioni moderne, agenti AI e applicazioni in tempo reale utilizzabili a livello globale, collegandovi alle vostre API private e database esistenti. Ecco perché stiamo lavorando su Workers VPC.

Abbiamo sperimentato in prima persona quanto sia faticoso sviluppare prodotti attorno alle VPC. Nel 2024, abbiamo introdotto il supporto per i database privati in Hyperdrive. Da allora, è possibile connettersi da Cloudflare Workers a database situati in una VPC esterna utilizzando Cloudflare Tunnel come soluzione di rete sottostante. Questa soluzione funziona egregiamente come connessione diretta. Tuttavia, ha i suoi limiti: in architetture grandi e complesse, la gestione e la scalatura di un Cloudflare Tunnel per ogni singola risorsa in una cloud esterna non è fattibile. La manutenzione di tunnel individuali per centinaia o migliaia di endpoint può diventare un incubo gestionale, rallentando l'innovazione e aumentando il carico operativo.

Vogliamo quindi offrire una soluzione estremamente semplice per l'accesso alle risorse cloud esterne, che possa tenere il passo con la futura modernizzazione di ulteriori carichi di lavoro con Workers. Per fare ciò, attingiamo alla nostra esperienza accumulata nello sviluppo di Magic WAN e Magic Cloud Networking. Queste esperienze ci hanno fornito una profonda comprensione delle sfide e delle soluzioni nella gestione di reti globali e interconnessioni cloud, che ora applichiamo per rendere Workers VPC robusta e intuitiva.

Con Workers VPC, le VPC raggiungono una dimensione globale. Inoltre, possono essere connesse alle reti private esistenti tramite Workers VPC Private Links. Il nostro obiettivo è offrirvi la possibilità di creare applicazioni sicure, implementabili a livello mondiale e cloud-neutrali su Workers, eliminando i tradizionali vincoli geografici e infrastrutturali che hanno a lungo ostacolato lo sviluppo di applicazioni veramente distribuite.

Una VPC globale per applicazioni cloud-neutrali e distribuite a livello mondiale

La configurazione di reti private è un processo dispendioso, si estende su molti livelli di astrazione e richiede interi team per la sua gestione. Pochi aspetti sono così complicati come la manutenzione di architetture che sono cresciute oltre la loro rete di connessione diretta originale. Era quindi chiaro che dovevamo fornire una soluzione semplice per ambienti isolati sulla nostra piattaforma, una che potesse scalare con la crescita delle esigenze dei nostri clienti senza aggiungere complessità indebita.

Workers VPC sono per loro natura Virtual Private Clouds. Ciò significa che possono essere utilizzate per definire ambienti isolati di Workers e risorse della piattaforma per sviluppatori, come R2, Workers KV e D1, che possono accedervi reciprocamente in modo sicuro. Altre risorse nel vostro account Cloudflare non avranno invece accesso ad esse. Con le VPC, è possibile definire quali gruppi di risorse sono associati a determinate applicazioni, impedendo così l'accesso inter-applicazione alle risorse e rafforzando la postura di sicurezza complessiva del vostro sistema.

Workers VPC assomigliano alle VPC tradizionali, ma sono state ripensate per la piattaforma per sviluppatori di Cloudflare. La differenza principale risiede nel modo in cui Workers VPC sono implementate: non si basano su una rete regionale basata su IP, ma sono progettate per la scala globale. La rete Cloudflare si occupa dell'isolamento delle risorse in tutti i data center in essa contenuti. Questa architettura distribuita globalmente significa che le vostre applicazioni possono mantenere la loro integrità e sicurezza indipendentemente dalla loro posizione geografica o dalla provenienza degli utenti finali, offrendo prestazioni ottimali senza compromettere la protezione.

Workers VPC, come le VPC tradizionali, dispongono di funzioni per un'integrazione fluida nelle reti convenzionali. In questo modo potete creare applicazioni cloud-neutrali che non lasciano mai le reti che considerate affidabili. È qui che entra in gioco Workers VPC Private Links. Questi link agiscono come ponti sicuri, permettendo una comunicazione efficiente e protetta tra le vostre Workers VPC e le vostre infrastrutture di rete private esistenti, senza esporre il traffico a internet pubblico.

Similmente ad AWS PrivateLink e altri modelli VPC-to-VPC, Workers VPC Private Links facilitano connessioni private tra i servizi ospitati nelle Workers VPC e le vostre reti private o altre VPC. Questo approccio garantisce che il traffico rimanga all'interno della rete di Cloudflare o delle vostre reti private, minimizzando i rischi di sicurezza e migliorando la conformità. La capacità di interconnettere facilmente diverse "nuvole" private elimina la necessità di configurazioni complesse come gateway NAT, VPN o firewall avanzati per ogni singola connessione, rendendo l'architettura molto più semplice da gestire e scalare. Con Workers VPC Private Links, si ottiene un'esperienza unificata in cui le risorse di diverse ubicazioni cloud e on-premise possono comunicare come se fossero tutte parte di un'unica, estesa e sicura rete privata globale.